AV 45 / 2006 - 1 / 5
AVIS N° 45 / 2006 du 8 novembre 2006
N. Réf. : SA2 / A / 2006 / 044
OBJET :
Projet d’arrêté royal portant exécution de la loi du 10 juillet 2006 relative à l’analyse de la menace.La Commission de la protection de la vie privée,
Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l’égard des traitements de données à caractère personnel, en particulier l’article 29 ;
Vu la demande d’avis de la Ministre de la justice reçue le 30 octobre 2006;
Vu le rapport du Vice-président;
Emet le 8 novembre 2006, l’avis suivant
I. PRÉSENTATION
---
Par lettre reçue le 30 octobre 2006, la Ministre de la Justice soumet à l’avis de la Commission un projet d’arrêté royal portant exécution de la loi du 10 juillet 2006 relative à l’analyse de la menace (« le projet »). La Ministre invoque l’urgence du fait que certaines dispositions de la loi du 10 juillet 2006 entreront en vigueur dès le 1er décembre 2006 et que dès lors, l’OCAM doit être mis en place pour cette date au plus tard.
La Commission regrette d’avoir dû se prononcer dans un délai aussi court qui ne cadre par ailleurs pas avec les 15 jours minimum prévus par la loi. Elle déplore en outre de ne pas disposer d’un projet de rapport au Roi ou tout au moins, d’une note explicative sur le projet d’arrêté royal dans son ensemble et plus détaillée que les quelques considérants figurant dans le projet. En l’absence d’un tel document, elle en est réduite à faire des suppositions quant à la portée exacte de certaines dispositions en projet.
II. ANALYSE DU PROJET
--- a) Banque de données de l’OCAM Article 5
Le projet prévoit un délai de conservation des données de 30 ans. En-dehors des hypothèses limitativement énumérées dans le projet, ce n’est qu’après cette période qu’une évaluation est obligatoire quant à la nécessité ou non d’une conservation ultérieure.
La Commission rappelle que les données à caractère personnel ne peuvent être conservées au- delà de la durée nécessaire aux finalités pour lesquelles elles sont enregistrées. Elle s’interroge sur la justification d’une telle durée de conservation des informations recueillies qui lui semble disproportionnée. La commission considère qu’un délai de 10 ans serait suffisant avec une possibilité d’une prolongation justifiée au cas par cas. En effet, si une menace déterminée cesse d’exister avant l’expiration du délai de 30 ans, la Commission ne voit pas la nécessité de conserver les données recueillies dans le cadre de l’analyse de cette menace. Le projet qui lui est soumis ne contient aucune explication à cet égard.
Par ailleurs, compte tenu de cette durée de conservation particulièrement longue, une obligation d’évaluation de la nécessité du maintien des données avant l’expiration de ce délai maximal est d’autant plus importante. Certes, le projet prévoit des hypothèses donnant lieu à une évaluation avant l’expiration du délai maximal, mais ces hypothèses sont énumérées de manière exhaustive.
La Commission considère que l’obligation d’une évaluation régulière de la nécessité de conserver les données doit être en outre prévue. La commission critique également l’unique délai de 5 ans prévu avant qu’une évaluation puisse avoir lieu dans le cadre de l’article 5§3. Elle estime que la vérification de la pertinence des données devrait être réalisée au cas par car lors de chaque utilisation des données et de manière globale tous les 5 ans. En toute hypothèse, les données devraient être supprimées directement dès qu’il est constaté que les données ne sont plus pertinentes, exactes ou nécessaires.
A titre d’exemple, la Convention Europol prévoit que les données à caractère personnel des personnes visées à l'article 10 paragraphe 1 premier alinéa point 1 ne doivent pas être conservées plus de trois ans au total, le délai recommençant chaque fois à courir le jour où se produit un événement qui entraîne le stockage de données sur la personne concernée. En outre, la nécessité de leur conservation est réexaminée chaque année et le réexamen fait l'objet d'une mention1.
1 Article 21.3 de la Convention sur la base de l'article K.3 du traité sur l'Union européenne portant création d'un office européen de police (convention Europol).
En outre, la Commission suggère qu’à la suite de chaque évaluation, une séparation soit clairement faite entre les données nécessaires aux activités courantes et celles qui peuvent être archivées.
Article 6
L’article 6 §4 prévoit que l’enregistrement de chaque accès à la banque de données par un membre du personnel est conservé, à des fins de contrôle interne, pendant une durée de 10 ans.
La Commission relève que la finalité de conservation des accès à la banque de données ne se limite pas à un contrôle interne mais vise également une possibilité de contrôle par une autorité externe telle que la Commission dans l’exercice de ses compétences.
La Commission estime en outre que dans le cadre d’un contrôle (interne ou externe), le contrôleur doit pouvoir vérifier qui a accédé à l’information (par exemple, pour pouvoir vérifier à quelle fréquence une information a été consultée en cas d’utilisation d’une donnée erronée ayant causé un dommage). L’enregistrement des accès à la banque de données doit donc être conservé au moins aussi longtemps que les informations sont conservées dans la banque de données et tant que cela est nécessaire pour le traitement des plaintes. Ainsi, ce n’est que lorsqu’une information est supprimée que tous les accès y relatifs seraient également supprimés.
b) Accès aux systèmes d’information des services d’appui Article 12
L’article 12 prévoit un accès par les membres du personnel de l’OCAM à l’ensemble des informations contenues dans la B.N.G. Si la Commission comprend la nécessité pour l’OCAM de disposer de certaines informations contenues dans la BNG, elle s’interroge quant à la justification d’un tel accès à l’ensemble de la BNG.
La loi du 10 juillet 2006 prévoit que les services d’appui sont tenus de communiquer à l’OCAM les renseignements dont ils disposent dans le cadre de leurs missions légales et qui s’avèrent pertinents pour l’accomplissement des missions de l’OCAM. Les travaux préparatoires de la loi précitée insistent sur le travail effectué en amont par les services d’appui et indiquent que « dans le cadre de l’accomplissement de ses missions, l’OCAM ne recueille pas les informations en première ligne, les services partenaires (i.e services d’appui) doivent en effet lui fournir les renseignements dont ils disposent. Il s’agit d’informations qui ont déjà fait l’objet d’une première analyse au sein de ces différents services et non d’un flot d’informations brutes. »2.
Cette communication se fait d’office ou à la demande du directeur de l’OCAM (article 6 de la loi du 10 juillet 2006). Le projet d’arrêté royal prévoit à cet égard la désignation d’un point central au sein des services d’appui et le respect de délais précis selon le degré d’urgence de la demande de l’OCAM (chapitre IV du projet). Dès lors que d’une part, l’OCAM reçoit les informations d’initiative par les services de police et d’autre part, qu’il peut requérir les informations dont il a besoin dans un délai qui peut être très court (dans les 24h pour les demandes revêtues de la mention
« FLASH »), la Commission ne dispose pas d’éléments pertinents justifiant la nécessité et la proportionnalité d’un tel accès à l’ensemble de la BNG.
Article 13
Le projet d’arrêté Royal précise dans ses considérants qu’étant donné que l’OCAM succède aux droits et obligations du Groupe interforces antiterroriste (« GIA »)3, il conserve sur base de cette disposition les droits d’accès aux différents systèmes d’informations des services d’appui qui avaient été antérieurement reconnus au GIA.
2 Ch. Repr., sess 2005-2006, doc 2032/006, p. 7.
3 Article 17 de la loi du 10 juillet 2006.
La Commission rappelle que seul un arrêté royal réglait de manière sommaire les activités du GIA et ce, contrairement aux exigences formulées par la Convention européenne de sauvegarde des droits de l’Homme et des Libertés fondamentale et la jurisprudence de la Cour européenne des Droits de l’Homme en vertu de laquelle « « une ingérence dans la vie privée n’est autorisée que si elle est prévue par une loi accessible aux personnes concernées et qui use de termes assez clairs pour leur indiquer de manière adéquate en quelles circonstances et sous conditions elle habilite la puissance publique à se livrer à pareille ingérence secrète, et virtuellement dangereuse, dans leur vie publique »4.
Le Gouvernement a décidé dès lors d’encadrer légalement les activités du GIA tout en élargissant sa composition par la création d’un organe chargé de l’analyse de la menace (« OCAM ») dont les missions et la composition sont déterminés dans la loi du 10 juillet 2006.
La Commission relève qu’étant donné les insuffisances légales identifiées quant au cadre légal entourant le GIA, l’accès dans les faits à différents systèmes d’informations n’implique pas pour autant la légalité de cet accès. La Commission rappelle que les banques de données des différents services d’appui composant l’OCAM (ex : Service public fédéral Finances, Service public fédéral Mobilité et Transports, etc..) ont été créées pour les finalités propres à ces services et qui diffèrent de celles de l’OCAM. La légalité de ces accès doit être examinée au cas par cas et ne peut découler de la seule qualité des personnes composant l’OCAM.
Registre national
Il est indiqué, aux pages 2 et 3 du préambule du projet, que puisqu’il succède aux droits et obligations du Groupe interforces antiterroriste (GIA), l’OCAM conserve l’accès aux informations du Registre national accordé à ce dernier.
La Commission constate l’absence de toute disposition législative ou de tout arrêté royal autorisant le prédécesseur juridique de l’OCAM à accéder aux informations du Registre national. Par conséquent, si le GIA était en mesure de consulter des données dans le Registre national, c’était par l’entremise des membres du personnel de la police et des services de sécurité détachés auprès du GIA, sur la base de l’autorisation accordée aux services précités.
Indépendamment du fait que de sérieux doutes peuvent être émis quant à la régularité d’une telle procédure, il est clair que le GIA ne disposait d’aucune autorisation réglementaire. Dès lors, il ne peut être question que celle-ci soit reprise par son successeur en droit, l’OCAM.
L’article 13 de l’arrêté royal stipule que les éventuelles modalités d’accès aux systèmes d’informations seront déterminées conjointement par le Ministre de la Justice, le Ministre de l’Intérieur et le Ministre ayant l’autorité.
Dans la mesure où cela vise également les informations du Registre national, la Commission attire l’attention sur le fait que l’article 16, 1°, de la loi du 8 août 1983 organisant un Registre national des personnes physiques stipule que l’autorisation est accordée par le comité sectoriel du Registre national.
La Commission insiste sur le fait que même dans l’hypothèse où un accès serait rendu possible par une disposition légale, il ne pourrait devenir opérationnel que moyennant l’octroi d’une autorisation spécifique par le comité sectoriel.
La Commission souligne en tout état de cause que dans l’hypothèse d’un accès au Registre national rendu possible par une loi, le comité sectoriel, s’il ne se prononce pas sur la légalité d’un tel accès, conserve le pouvoir d’émettre une autorisation sur ses modalités (données concernées) et sur le respect, notamment, du principe de proportionnalité.
4 Arrêt Leander, C.E.D.H., 26 mars 1987, série A, vol. n°116, n°50 et 51.
DIV
Une fois entré en vigueur (au plus tard le 1er décembre 2006), l’article 6 de la loi relative à l’analyse de la menace constituera la base légale permettant à l’OCAM d’obtenir des données du répertoire matricule des véhicules du SPF Mobilité et Transports – quoique la finalité de cette obtention ne figure pas dans l’arrêté royal du 20 juillet 2001 relatif à l’immatriculation des véhicules mais dans une norme juridique supérieure (la loi relative à l’analyse de la menace elle-même, notamment pour les missions de l’OCAM énoncées à l’article 8, 1° et 2°, de ladite loi).
L’obtention de données du répertoire sans autorisation du comité sectoriel pour l’Autorité fédérale est rendue possible par le fait que l’article 6 de la loi relative à l’analyse de la menace permet, en tant que norme juridique postérieure de même rang, de déroger à l’article 36bis de la LVP et de faire l’impasse sur la procédure d’autorisation qui doit normalement être appliquée si l’OCAM souhaite utiliser des informations en provenance de la banque de données informatisée d’un service public fédéral tel que la DIV.
La Commission souligne en tout état de cause que dans l’hypothèse d’un flux rendu possible par une loi, le comité sectoriel, s’il ne se prononce pas sur la légalité d’un tel flux, conserve le pouvoir d’émettre une autorisation sur les modalités du flux et sur le respect, notamment, du principe de proportionnalité.
III. CONCLUSIONS
--- Compte tenu du fait
• qu’un certain nombre de remarques émises par la Commission dans son avis n°8 du 25 mai 2005 ont été prises en considération,
• et que les réserves ici formulées peuvent être prises en considération et implémentées dans le projet actuel d’Arrêté royal,
la Commission émet un avis favorable conditionné au respect de ces réserves.
L’ administrateur, Le vice-président,
(sé) Jo BARET (sé) Willem DEBEUCKELAERE
